Exchange Server 2019 Client Access Rule ile EAC ve Remote Powershell erişimlerini sınırlama

 Exchange Server 2019 ile birlikte gelen yeteneklerden biri olan Client Access Rule ile Exchange Admin Center (EAC) ve Romete Powershell erişimleri belirli kriterler doğrultusunda (IP, Active Directory Attributes vs..) kısıtlanabilmektedir. 


Client Access Rule'ları sadece Exchange Management Shell vasıtasıyla yönetebiliriz. EAC üzerinde GUI tabanlı bir yönetim konsolu bulunmamaktadır. 

Ip Tabanlı Engelleme Kuralı

3 farklı şekilde tanımlama yapılabilir . Bunlar;

  1. Sadece IP adresi, Örnek: 192.168.1.1
  2. IP adres aralığı, Örnek: 192.168.1.1 - 192.168.1.20
  3. Subnet, Örnek: 192.168.1.0/24
Aşağıdaki komut yardımıyla yeni bir Client Access Rule oluşturuyoruz. 

EAC için:

 
New-ClientAccessRule -Name "ECP ERISIM KURALI" -Action DenyAccess -AnyOfProtocols ExchangeAdminCenter -ExceptAnyOfClientIPAddressesOrRanges 10.10.10.21
Remote Powershell için:

 
New-ClientAccessRule -Name "POWERSHELL ERISIM KURALI" -Action DenyAccess -AnyOfProtocols RemotePowershell -ExceptAnyOfClientIPAddressesOrRanges 10.10.10.21

Tanımlamış olduğumuz Client Access Rule'da 10.10.10.21 IP adresi dışındaki tüm EAC ve Remote Powershell erişimleri engellenecektir.


Active Directory Attribute Tabanlı Engelleme Kuralı

Aktif Dizinde yer alan bir kullanıcının attribute'lerine göre EAC veya Remote Powershell erişim kuralı tanımlayabiliriz. Hangi attritbute'ler kullanabileceğimizi parametler ve alabileceği değerler bölümünde detaylı bir şekilde açıklayacağım.

EAC için:

 
New-ClientAccessRule -Name "IT ECP ERISIM KURALI" -Action DenyAccess -AnyOfProtocols ExchangeAdminCenter -UserRecipientFilter {Department -ne "IT"}
Remote Powershell için:

 
New-ClientAccessRule -Name "IT ECP ERISIM KURALI" -Action DenyAccess -AnyOfProtocols RemotePowershell -UserRecipientFilter {Department -ne "IT"}

Tanımlamış olduğumuz Client Access Rule kurallarında "Depertment" attribute'unda "IT" yazan kullanıcılar dışındaki tüm EAC ve Remote Powershell erişimleri engellenecektir.

Parametreler ve Alabileceği Değerler

AnyOfAuthenticationTypes

EAC için: AdfsAuthentication ve BasicAuthentication
Remote Powershell için: BasicAuthentication and NonBasicAuthentication
Birden fazla değer tanımlayabilirsiniz ("deger1","deger2")

AnyOfClientIPAddressesOrRanges

Sadece IP adresi, Örnek: 192.168.1.1
IP adres aralığı, Örnek: 192.168.1.1 - 192.168.1.20
Subnet, Örnek: 192.168.1.0/24
Birden fazla değer tanımlayabilirsiniz (IP1,IP2)

AnyOfProtocols

ExchangeAdminCenter
RemotePowerShell
Birden fazla değer tanımlayabilirsiniz ("deger1","deger2")

Scope

Users: Kural sadece son kullanıcılar için geçerli olacaktır.
All: Kural tüm kullanıcı türleri için geçerli olacaktır. (end-users ve middle-tier apps).

UsernameMatchesAnyOfPatterns

Kullanıcının acoount name'ini <Domain>\<UserName> biçiminde tanımlamak için text ve wildcard karakter (*) kullanabiliriz(örnek, test.com\okuru veya *okuru*, okuru* kabul edilmez!).

UserRecipientFilter

Kullanılabilecek Attritbute'ler
City
Company
CountryOrRegion
CustomAttribute1 to CustomAttribute15
Department
Office
PostalCode
StateOrProvince
StreetAddress
"<Property> -<Karşılaştırma operatörü> '<Değer>'" şekilde tanımlama yapılır.
Örnek: City -eq 'Ankara'

Client Access Rule için kullanılan komut setleri

Get-ClientAccessRule: mevcut client access rule'ları listeler
New-ClientAccessRule: yeni client access rule tanımlamaya olanak sağlar.
Set-ClientAccessRule: mevcut client access rule üzerinde değişik yapmaya olanak sağlar.
Test-ClientAccessRule: tanımladığımız cliet access rule'u test edebiliriz.


Remove-ClientAccessRule: client access rule silmek için kullanılır.

Teşekkürler.

Yorumlar

Yorum Gönder

Bu blogdaki popüler yayınlar

Reporting Exchange Mail Traffic and Login Statistics with PowerShell

Resim
  In today's work environments, email communication holds critical importance for organizations, creating the need to manage and track usage statistics. In this context, monitoring and reporting the access status and mail traffic of mailboxes on Exchange servers according to specific criteria is crucial for an Exchange administrator. In this blog post, I'll explain in detail how to use the PowerShell script below to collect mailbox access information and mail traffic, and transform this data into a meaningful report. Script Structure The script includes the following sections: 1. Adding Required PowerShell Snap-ins Add-PSSnapin *Exchange* The Add-PSSnapin *Exchange* PowerShell command is used to add the Exchange Management Shell (EMS) module. 2. Initializing Variables with Default Values $global:LogonArray = @() $global:LogonNullArray = @() $progress = 0 ...
Devamı

Exchange Server 2016/2019 Sertifika Yenileme

Resim
  Exchange Admin Center (EAC) üzerinden sertifika talebi oluşturma özelliği Exchange Server 2019 CU12 ve Exchange Server 2016 CU23 itibariyle kaldırıldı. Eğer bu CU paketleri veya daha sonraki sürümlere sahipseniz süresi dolan SSL sertifikanızın talebini Exchange Management Shell üzerinden oluştumanız gerekecek. Bu makalede Exchange Management Shell üzerinden sertifika talepleri nasıl oluşturulur,  yeni sertifika nasıl import edilir, sertifikaya servisler nasıl atanır ? konularını ele alacağız.  Certification Authory (CA) tarafından sağlanan sertifikanın yenileme süreci Exchange Management Shell kullanarak sertifika yenileme talebi oluşturma CA için  yeni sertifika talebi oluşturmak için aşağıdaki komutları kullanabiliriz.  Mevcut sertifikadan üretmek için; $request = Get-ExchangeCertificate -Thumbprint 7FDAE73AFFD3A81F2439D84D998AE0E92F1595AC | New-ExchangeCer...
Devamı

Bulk Resetting Active Directory User Passwords

Resim
  In your Active Directory environment, resetting the passwords of many users in bulk can be a crucial task to adhere to security policies and keep user accounts secure. In this article, I will demonstrate how to reset the passwords of users in Active Directory in bulk using PowerShell scripts. Preparing the PowerShell Environment: To operate in Active Directory, you can utilize PowerShell. Start a PowerShell session and import the necessary Active Directory module with the following commands: Import-Module ActiveDirectory Resetting Passwords: Resetting Passwords Based on Organizational Unit (OU): To reset user passwords in bulk, you can use the following PowerShell script. This script changes the passwords of all users with a specified password: $NewPassword = ConvertTo-SecureString -String "NewPassword" -AsPlainText -Force $Users = Get-ADUser -Filter * -SearchBase "OU=Users,DC=Example,DC=com" # Specify the ...
Devamı